5 segnali che indicano che la tua azienda ha bisogno di un DPO esterno

Tra il 2024 e il 2025 il Garante per la protezione dei dati personali ha continuato a sanzionare aziende ed enti per mancata nomina del DPO o per nomine irregolari. Una società di riabilitazione creditizia è stata multata 70.000 euro per aver designato come DPO il proprio rappresentante legale, in palese conflitto di interessi (provvedimento del 19 dicembre 2024, doc. web 10106904). Un Comune ha pagato per aver atteso tre anni prima di nominare il responsabile e altri tre prima di comunicarne i dati all’Autorità (provvedimento n. 318 del 4 giugno 2025).

Questi casi raccontano una verità scomoda per molte PMI italiane: la figura del DPO viene spesso vista come un adempimento burocratico, qualcosa da rimandare finché non arriva un controllo. Quando un imprenditore si accorge di averne bisogno, il problema è di solito già sul tavolo.

Ecco cinque segnali concreti che indicano quando la tua azienda dovrebbe affidarsi a un DPO esterno, anche se non rientra nei casi di obbligo previsti dall’articolo 37 del GDPR.

Segnale 1: tratti dati su larga scala o appartenenti a categorie particolari

L’articolo 37 del GDPR rende obbligatoria la nomina di un DPO in tre situazioni distinte.

La prima riguarda gli enti pubblici. Comuni, scuole, ASL, università, ministeri: chiunque eserciti funzioni pubbliche è obbligato a nominare il DPO, indipendentemente dal volume di dati trattati. È il caso più semplice da identificare e anche quello che il Garante sanziona più spesso, come vedremo nel quinto segnale.

La seconda si applica alle aziende private la cui attività principale consiste nel monitoraggio regolare e sistematico delle persone su larga scala. Il termine “attività principale” è importante: un’azienda di logistica che usa il GPS per tracciare i furgoni rientra nel caso, perché il monitoraggio è parte centrale del business. Un’azienda manifatturiera che usa lo stesso GPS solo per gestire qualche auto aziendale probabilmente no, perché il tracciamento è un’attività accessoria.

La terza situazione riguarda chi tratta su larga scala categorie particolari di dati ai sensi dell’articolo 9 del GDPR, oppure dati relativi a condanne penali e reati ai sensi dell’articolo 10. Sono dati che il legislatore europeo considera particolari perché il loro trattamento espone le persone a rischi più elevati di discriminazione, violazione della dignità o esclusione sociale.

A questo punto la domanda che si pone ogni imprenditore è la stessa: cosa significa “su larga scala” per una PMI?
La normativa non fornisce una soglia numerica esatta, e questa è la prima ragione per cui tante aziende italiane restano in zona grigia.

Le linee guida WP243 del Gruppo di lavoro art. 29, oggi adottate dall’EDPB, indicano quattro parametri che vanno considerati in combinazione: il numero di persone coinvolte (in valore assoluto o in proporzione al bacino di riferimento), il volume e la varietà dei dati trattati, la durata del trattamento (un’attività che dura anni pesa diversamente da una campagna spot) e l’estensione geografica (dal locale all’internazionale).

Ecco come si applicano questi criteri a casi che riguardano molte PMI italiane.

Un’azienda di ecommerce con 5.000 clienti registrati che fa email marketing profilato e segmentato può rientrare nei casi di obbligo. Il numero di clienti da solo non basta a definire la larga scala, ma se aggiungi una profilazione basata sugli acquisti, sul comportamento di navigazione, sulle aperture delle email, stai costruendo un trattamento continuativo che rientra nel monitoraggio regolare e sistematico previsto dall’articolo 37.

Un poliambulatorio privato con 3.000 pazienti tratta dati sanitari, che sono categoria particolare per definizione. Anche se è una realtà locale e il numero di pazienti non è enorme, la natura dei dati e la durata del trattamento (le cartelle cliniche restano per anni) potrebbero configurare un trattamento su larga scala di categorie particolari. Stessa logica per uno studio dentistico associato, un centro di analisi, una clinica veterinaria.

Un’agenzia di selezione del personale che gestisce candidature, valutazioni psicoattitudinali, video colloqui registrati, riferimenti professionali, sta trattando un mix di dati comuni e particolari, perché le valutazioni possono toccare aspetti sanitari o relativi all’origine etnica.
Il volume e la varietà la portano spesso nei casi di obbligo, anche se i candidati attivi in un dato momento sono qualche centinaio.

Un’azienda B2B che vende software gestionali e usa un CRM con tracciamento delle interazioni, lead scoring (l’attribuzione automatica di un punteggio a ogni contatto in base al suo comportamento), integrazione con marketing automation, può rientrare nel monitoraggio sistematico se la profilazione dei contatti è centrale per il modello commerciale. La distinzione tra “abbiamo qualche centinaio di lead in CRM” e “facciamo lead scoring continuativo su 20.000 contatti per alimentare le campagne” cambia la valutazione.

In tutti questi esempi la risposta non è automatica, dipende da come l’azienda usa davvero i dati. La zona grigia è ampia, e non esiste un’app che ti dica “sei obbligato sì o no”, perché la valutazione richiede di considerare in modo combinato finalità, mezzi, durata, volume e categorie di dati. È un’analisi che un imprenditore difficilmente può fare da solo, ed è il primo motivo per cui un confronto con un consulente esterno toglie ambiguità a una decisione che oggi resta affidata al buon senso.

Segnale 2: le richieste degli interessati iniziano ad accumularsi

Gli articoli da 15 a 22 del GDPR riconoscono a ogni persona una serie di diritti che può esercitare in qualsiasi momento nei confronti di chi tratta i suoi dati. Sono diritti operativi e nella vita di un’azienda si traducono in domande concrete che arrivano via email, via PEC, tramite il modulo del sito o anche solo con una telefonata.

I principali sono sei.

• Il diritto di accesso (articolo 15), che permette di ottenere una copia dei propri dati e tutte le informazioni sul trattamento.
• Il diritto di rettifica (articolo 16) per correggere dati inesatti.
• Il diritto alla cancellazione (articolo 17), noto come “diritto all’oblio”, per chiedere la rimozione dei dati in casi specifici.
• Il diritto di limitazione (articolo 18) per “congelare” il trattamento durante una verifica o una contestazione.
• Il diritto alla portabilità (articolo 20) per ricevere i propri dati in un formato strutturato e trasferirli a un altro titolare.
• Il diritto di opposizione (articolo 21), tipico delle comunicazioni di marketing diretto.

Quando una persona decide di esercitare uno di questi diritti, lo fa attraverso una comunicazione scritta o verbale rivolta direttamente all’azienda. In gergo si parla di DSAR, ovvero Data Subject Access Request, anche se in senso stretto il termine si riferisce solo all’accesso. Nella prassi aziendale tutte le richieste di esercizio dei diritti vengono gestite con lo stesso flusso operativo e il punto critico di questo flusso è il tempo di risposta.
L’articolo 12 del GDPR impone di rispondere entro un mese dalla ricezione. Il termine può essere prorogato di altri due mesi se il caso è particolarmente complesso o se ne arrivano molti contemporaneamente, ma la proroga va comunicata formalmente alla persona entro il primo mese, con motivazione esplicita. Non rispondere, rispondere oltre i termini o rispondere in modo incompleto sono condotte che possono essere segnalate al Garante e che alimentano un fascicolo istruttorio.

Finché le richieste sono occasionali, una o due l’anno, anche un’azienda senza procedura riesce a cavarsela. Il problema esplode quando il volume cresce e può succedere per motivi anche molto diversi tra loro: il database clienti supera una certa dimensione, c’è stato turnover di personale e gli ex dipendenti chiedono accesso ai propri dati, una campagna marketing aggressiva ha generato opposizioni al trattamento, un fornitore ha fatto qualcosa di poco trasparente e i clienti vogliono vederci chiaro.

Un caso concreto: cosa succede quando manca una procedura di gestione

Un’azienda di servizi B2B con 200 dipendenti riceve una richiesta da un ex collaboratore che ha lasciato l’azienda in modo conflittuale sei mesi prima. Vuole copia di tutte le email aziendali in cui compare il suo nome, le valutazioni di performance degli ultimi tre anni, le registrazioni delle telecamere di sorveglianza dell’ufficio, la lista completa dei sistemi informatici in cui i suoi dati sono ancora presenti, l’elenco di chi in azienda ha avuto accesso ai suoi dati e per quale motivo.

Senza una procedura strutturata, parte una catena disordinata di rimbalzi interni. L’HR riceve la richiesta e la inoltra all’IT. L’IT inizia a estrarre le email ma scopre che alcune sono in caselle di colleghi che nel frattempo hanno lasciato l’azienda. Il legale viene coinvolto perché ci sono email con riferimenti a contenziosi in corso. L’amministratore vuole capire se ci sono rischi reputazionali. Nel frattempo i giorni passano. Al ventesimo giorno qualcuno si accorge che la scadenza è il trentesimo. Si chiede una proroga, ma non si sa bene come motivarla. Si risponde in fretta con documentazione incompleta. L’ex collaboratore, già arrabbiato, presenta reclamo al Garante.

Lo stesso meccanismo si attiva con casi meno conflittuali ma potenzialmente più numerosi: un ecommerce che riceve venti richieste di cancellazione al mese, una clinica con richieste ricorrenti di copia delle cartelle cliniche, uno studio professionale i cui ex clienti chiedono la portabilità dei dati a un nuovo consulente. Senza un flusso definito, ogni pratica diventa un piccolo cantiere.

Un DPO esterno interviene su questo livello operativo in modo strutturato: costruisce la procedura interna che assegna i ruoli per ogni fase del processo (dalla ricezione fino all’archiviazione finale, passando per la raccolta dei dati e la redazione della risposta), imposta un registro delle richieste che dimostra al Garante, in caso di controllo, che l’azienda gestisce queste pratiche con metodo, forma il personale di prima linea (HR, customer care, segreteria) sul riconoscimento di una richiesta che spesso arriva formulata in modo informale e gestisce direttamente i casi più complessi (rischio legale, contenzioso in corso, dati di minori, intersezioni con segreto professionale o con diritti di terzi).

A questo si aggiunge una funzione meno visibile ma decisiva: il DPO documenta tutto, perché l’articolo 5 paragrafo 2 del GDPR impone all’azienda di dimostrare la propria conformità. In caso di reclamo, una documentazione ordinata fa la differenza tra una sanzione e un’archiviazione. In caso di due diligence per un’acquisizione o di certificazione ISO 27701, lo stesso archivio diventa prova della maturità privacy dell’organizzazione.

Se in azienda nessuno sa rispondere alla domanda “cosa succede se domani arriva una DSAR?”, il problema non è la richiesta che arriverà, è la procedura che non c’è.

Segnale 3: stai integrando intelligenza artificiale o nuovi sistemi che trattano dati personali

Ogni volta che un’azienda introduce un nuovo strumento tecnologico che gestisce dati personali, sta facendo una scelta che ha implicazioni legali. Non importa se è un software acquistato, un’integrazione fatta dal reparto IT, una piattaforma cloud sottoscritta dal marketing senza coinvolgere altri reparti. Dal punto di vista del GDPR, ogni nuovo trattamento va valutato prima dell’attivazione, non dopo.

Il caso dell’intelligenza artificiale rende questo principio particolarmente attuale. L’AI Act, ovvero il Regolamento (UE) 2024/1689, è la prima legge europea che regola l’uso dell’AI. È entrato in vigore nel 2024 con un’applicazione scaglionata: alcune regole sono già operative, mentre la piena applicazione per i sistemi cosiddetti “ad alto rischio” è prevista entro agosto 2026, con alcune eccezioni che si estendono al 2027. Proprio questa categoria di sistemi è quella che riguarda da vicino le PMI italiane, perché include molte attività comuni in azienda: la selezione del personale tramite filtri automatici dei CV o analisi dei video colloqui, la valutazione dell’affidabilità creditizia, l’accesso a servizi essenziali come assicurazioni vita o salute, il monitoraggio e la valutazione delle prestazioni dei dipendenti.

Sul piano operativo, le due normative impongono regole diverse che si applicano insieme. Il punto di intersezione più importante è l’articolo 22 del GDPR, che vieta di prendere decisioni significative sulle persone esclusivamente in modo automatico, cioè senza intervento umano. Le decisioni che ricadono in questa categoria sono quelle che producono effetti giuridici (un contratto, una sanzione disciplinare) o che incidono in modo rilevante sulla vita dell’interessato (assunzione di un candidato, concessione di un finanziamento, valutazione di un dipendente, ammissione a un servizio).

Le eccezioni che il GDPR ammette sono tre. La decisione automatizzata è consentita quando è necessaria per concludere o eseguire un contratto con l’interessato, quando è autorizzata da una specifica norma dell’Unione Europea o dello Stato membro, oppure quando la persona ha dato un consenso esplicito al trattamento. Anche in questi casi, però, l’interessato conserva il diritto di ottenere l’intervento di una persona fisica nella decisione, di esprimere il proprio punto di vista e di contestare la decisione stessa.

L’AI Act aggiunge ulteriori obblighi per chi usa sistemi di intelligenza artificiale classificati ad alto rischio. Il sistema deve essere progettato per consentire una sorveglianza umana effettiva. Le attività dell’algoritmo vanno registrate. Le persone coinvolte vanno informate del fatto che stanno interagendo con un sistema di AI. Il sistema va usato seguendo le istruzioni tecniche fornite da chi lo ha sviluppato.

Sorveglianza umana e intervento umano sono concetti vicini ma non sovrapponibili. Il primo è un requisito tecnico sul sistema: la macchina deve essere progettata per permettere il controllo di una persona. Il secondo è un diritto dell’individuo davanti a una specifica decisione automatizzata che lo riguarda. Per le aziende che usano sistemi di AI per decisioni su dipendenti o clienti, entrambi devono coesistere.

Chi presidia una sola delle due normative rischia di rispettarla bene e di violare l’altra senza accorgersene.

Anche fuori dal perimetro dell’intelligenza artificiale, ogni nuova tecnologia che tratta dati personali richiede una valutazione preventiva. Pensa a quanti strumenti vengono introdotti in un’azienda nell’arco di un anno tipo: un CRM con funzioni di marketing automation, una piattaforma di videosorveglianza con riconoscimento facciale, un sistema di rilevazione presenze biometrico, un software di customer care che registra le chiamate e ne analizza il sentiment, un’app per i dipendenti che traccia geolocalizzazione e produttività, una piattaforma cloud che sposta i dati su server fuori dall’Unione europea.

L’articolo 25 del GDPR impone la cosiddetta “privacy by design”: la protezione dei dati va incorporata nel sistema fin dalla progettazione, scegliendo tecnologie e configurazioni che riducano al minimo i rischi. Aggiungere la conformità dopo, quando il sistema è già in produzione, costa di più e funziona peggio. L’articolo 35 prevede invece la valutazione d’impatto sulla protezione dei dati, conosciuta come DPIA, obbligatoria per i trattamenti che presentano rischi rilevanti per i diritti delle persone. Il Garante italiano ha pubblicato un elenco di casi in cui la DPIA è sempre dovuta: videosorveglianza estesa, dati biometrici, monitoraggio sistematico dei dipendenti, profilazione su larga scala.

Nel ciclo di vita di un nuovo sistema, il DPO interviene in tre momenti diversi. Prima dell’acquisto valuta le garanzie offerte dal fornitore, la conformità del contratto all’articolo 28 del GDPR e la regolarità di eventuali trasferimenti di dati fuori dall’Unione europea. Durante la progettazione presidia la privacy by design e si confronta con l’IT su come configurare il sistema. Prima del go-live coordina la DPIA quando serve e aggiorna il registro dei trattamenti previsto dall’articolo 30 del GDPR.

Senza questo presidio possono capitare due cose. Si introducono tecnologie non conformi che vanno modificate in corsa quando il problema emerge, con costi che includono il rifacimento del software, la rinegoziazione del contratto, la comunicazione ai clienti. Oppure i problemi vengono fuori durante un’ispezione, e la mancanza di una DPIA documentata o di un registro dei trattamenti aggiornato pesa nella valutazione del Garante.
>Per una PMI il costo di una consulenza preventiva su un nuovo progetto tecnologico è quasi sempre inferiore a quello di un adeguamento fatto a posteriori.

Segnale 4: hai avuto un incidente, un near-miss (quasi- incidente) o un controllo del Garante

Il momento in cui un’azienda scopre se la sua privacy è davvero presidiata è quando qualcosa va storto. Finché tutto fila, la documentazione, le procedure, i registri sembrano un costo evitabile. Quando arriva un data breach o una richiesta del Garante, l’assenza di quel presidio diventa visibile in poche ore con conseguenze che si pagano per anni.

Vale la pena chiarire cosa intende il GDPR per data breach, perché il termine viene spesso confuso con un attacco hacker e in realtà è molto più ampio. L’articolo 4 lo definisce come una violazione di sicurezza che comporta accidentalmente o in modo illecito la distruzione, la perdita, la modifica, la divulgazione non autorizzata o l’accesso a dati personali. Qualunque cosa faccia uscire i dati dal controllo dell’azienda, in qualunque modo, ricade nella categoria.

Gli scenari più comuni nelle PMI italiane sono molto più banali di quanto si pensi: un attacco ransomware (un software malevolo che cripta i file aziendali e li rende inaccessibili finché non si paga un riscatto) che blocca l’accesso ai dati, un dipendente che invia per errore un file Excel con i dati di mille clienti al destinatario sbagliato, un laptop aziendale dimenticato in treno o rubato dall’auto se contiene dati personali non cifrati, una mail di phishing in cui un addetto contabilità inserisce le credenziali su un sito clone, un fornitore IT che subisce una violazione e da cui passano i dati dei tuoi clienti, una stampante condivisa che ha tenuto in coda di stampa il fascicolo personale di un dipendente, una pendrive con dati di pazienti smarrita tra una sede e l’altra. Sono tutti casi che ricadono nella definizione dell’articolo 4.

Quando il breach si verifica scatta un cronometro stretto. L’articolo 33 del GDPR impone di notificare la violazione al Garante entro 72 ore dalla scoperta, quando comporta un rischio per i diritti e le libertà delle persone coinvolte. L’articolo 34 aggiunge l’obbligo di comunicare l’incidente direttamente alle persone interessate se il rischio è elevato. Tre giorni sono pochissimi per fare quello che la procedura richiede: ricostruire l’accaduto, identificare quali e quanti dati sono coinvolti, valutare il rischio per le persone, decidere se notificare al Garante e a chi, redigere la notifica con tutti gli elementi previsti dall’articolo 33 paragrafo 3, attivare le misure di contenimento. E il tempo, di solito, parte già con un ritardo: secondo il Verizon Data Breach Investigations Report 2024, i tempi medi di rilevazione di una violazione sono di settimane, non di ore. Quando ci si accorge dell’incidente, metà del cronometro è già consumato.

Il rapporto Verizon segnala anche un dato che riguarda direttamente le PMI: il 68% delle violazioni analizzate coinvolge un fattore umano non malevolo (errori operativi, vittime di phishing, ingegneria sociale). La maggior parte degli incidenti non viene da attacchi sofisticati ma da gesti quotidiani fatti male. Le PMI sono particolarmente esposte perché hanno meno difese strutturate, e diventano una via di accesso facile sia per attacchi diretti sia per attacchi alla catena di fornitura quando la PMI è fornitore di un’azienda più grande.

Cosa succede senza una procedura: un caso reale

Un’azienda di servizi con 80 dipendenti riceve un’email che sembra arrivare dal proprio commercialista, con un link a un portale dove “scaricare il modello F24 aggiornato”. L’addetto contabilità inserisce le credenziali della casella aziendale. Il malintenzionato entra, scarica mesi di corrispondenza, identifica le fatture in scadenza verso clienti importanti e invia ai destinatari richieste di cambio coordinate bancarie. Il problema emerge due settimane dopo, quando l’azienda contatta un cliente per sollecitare un bonifico mai arrivato. La risposta è che il pagamento è stato regolarmente effettuato, e dal confronto degli estremi si scopre che i soldi sono finiti su un conto fraudolento.

A quel punto l’azienda ha tre questioni aperte simultaneamente: gestire l’incidente di sicurezza tecnico, valutare la notifica al Garante per la fuoriuscita dei dati personali contenuti nella corrispondenza, gestire il rapporto con i clienti coinvolti. Senza una procedura preparata, ognuna di queste tre questioni viene affrontata all’ultimo momento e in modo non documentato.

Un DPO esterno cambia il modo in cui questo scenario si risolve e interviene in tre momenti distinti. In via preventiva scrive la procedura di gestione, definisce le responsabilità nei vari reparti, mappa i contatti utili (consulente IT, polizia postale, legale), simula lo scenario con i responsabili. Se l’incidente si verifica conduce la valutazione del rischio secondo le linee guida WP250 dell’EDPB, decide se la notifica al Garante è dovuta, redige il testo usando il modulo predisposto dall’Autorità, gestisce la comunicazione alle persone coinvolte se prevista dall’articolo 34. Dopo la chiusura dell’incidente archivia la documentazione nel registro dei breach previsto dall’articolo 33 paragrafo 5, che il Garante può richiedere in qualsiasi momento per verificare come l’azienda gestisce questi eventi.

Lo stesso ragionamento vale per i controlli del Garante, che possono partire in tre modi: una segnalazione spontanea dell’Autorità nell’ambito di indagini settoriali, un reclamo di una persona interessata, una notizia pubblica come un articolo di stampa che parla di problemi privacy della tua azienda. Quando arriva la prima comunicazione, di solito una domanda di informazioni a firma del Dirigente del Servizio competente, le mosse dei primi giorni pesano per tutto il procedimento. Ogni risposta entra nel fascicolo: una dichiarazione imprecisa, una documentazione incoerente con quanto comunicato in seguito o un’omissione che emerge in fase ispettiva possono trasformare un’interlocuzione in un’istruttoria formale.

Un DPO esterno gestisce la comunicazione tecnica con l’Autorità, prepara la documentazione di supporto coerente con i registri e le procedure interne, aiuta a costruire la posizione difensiva, valuta se proporre misure correttive prima che il Garante le imponga, un percorso che spesso porta a sanzioni ridotte. Nei casi più gravi coordina il dialogo con il legale che cura il procedimento amministrativo, allineando le argomentazioni tecniche con quelle giuridiche.

C’è infine il caso del near-miss, ovvero un quasi-incidente che poteva trasformarsi in un data breach ma è stato evitato per fortuna o per tempismo. Va trattato come un avvertimento. Se un dipendente recupera all’ultimo un’email con allegato sbagliato, il sistema dipende da un controllo umano che la prossima volta potrebbe non funzionare. Se un attacco ransomware viene bloccato dall’antivirus, è stato fortunato il tempismo, non sicura la difesa. Le aziende che leggono i quasi-incidenti come segnale di allarme attivano un presidio strutturato prima dell’incidente vero.

Segnale 5: chi gestisce la privacy in azienda ha un conflitto di interessi

Di tutti i segnali che abbiamo visto fin qui, questo è quello che le PMI sottovalutano più spesso. La scena tipica è questa: un imprenditore capisce di dover affrontare il tema privacy, guarda la sua organizzazione e sceglie la soluzione più semplice ed economica, ovvero affidare il ruolo a una persona già dentro l’azienda. Il candidato cambia di volta in volta: il responsabile IT perché “i dati passano da lui”, il direttore HR perché “gestisce le informazioni dei dipendenti”, il legale interno o il consulente fiscale di fiducia perché “se ne intende di norme”, a volte direttamente il legale rappresentante perché “tanto la responsabilità è già la sua”.

Tutte queste scelte hanno lo stesso difetto: confondono il ruolo di chi decide come trattare i dati con il ruolo di chi vigila sulla conformità di quel trattamento. Sono due ruoli che il GDPR vuole tenere separati, e le ragioni sono solide.

L’articolo 38 del GDPR stabilisce tre principi non negoziabili per il DPO: deve essere coinvolto tempestivamente in tutte le questioni che riguardano la protezione dei dati, deve poter operare senza ricevere istruzioni sull’esecuzione dei suoi compiti, non può essere rimosso o penalizzato per l’esercizio delle sue funzioni. A questi si aggiunge la regola che, se il DPO svolge altri compiti in azienda, questi non devono dare adito a conflitti.

Le linee guida WP243 del Gruppo art. 29, che sono il riferimento operativo per interpretare gli articoli 37, 38 e 39, sono esplicite su questo punto. Non può fare il DPO chi determina finalità e mezzi del trattamento dei dati personali. Significa che chi prende decisioni operative su come si raccolgono, conservano, analizzano, condividono i dati in azienda, non può poi essere la stessa persona che controlla se quelle decisioni sono conformi al GDPR. È come chiedere a un giudice di giudicare le proprie sentenze.

Le linee guida indicano alcuni ruoli incompatibili in modo esplicito: posizioni apicali come amministratore delegato, direttore generale, presidente del consiglio di amministrazione; responsabili di funzioni che gestiscono dati in modo strutturale, come direttore HR, responsabile marketing, IT manager, direttore commerciale, responsabile customer care; figure di staff come il responsabile della sicurezza informatica, perché definisce le misure tecniche di protezione e poi non può vigilare sulla loro adeguatezza. Il principio è coerente: ovunque ci sia una posizione che decide come usare i dati, lì non può esserci anche il DPO.

Il caso Studio Riabilitazione Creditizia

Il caso più recente sanzionato dal Garante è quello di Studio Riabilitazione Creditizia S.r.l.s., con il provvedimento del 19 dicembre 2024 (doc. web 10106904). La società era stata segnalata dalla Banca d’Italia per accessi massivi alla Centrale Rischi e per l’uso non autorizzato di dati finanziari di oltre 70.000 persone. Durante l’ispezione, condotta anche con il Nucleo Speciale della Guardia di Finanza, è emerso che la società aveva nominato come DPO il proprio legale rappresentante. La sanzione finale è stata di 70.000 euro per il complesso delle violazioni, ma il punto sulla nomina irregolare è quello che il provvedimento argomenta più dettagliatamente. Il principio che l’Autorità ribadisce è netto: chi rappresenta legalmente la società determina, per definizione, le finalità del trattamento, e quindi non può vigilare sull’osservanza della normativa a cui lui stesso è soggetto.

Non è un caso isolato. Il Garante ha sanzionato il Comune di Villabate per nomina irregolare del DPO, dopo che era stato inizialmente designato il responsabile del settore Affari Generali, una figura con conflitti insanabili. Ha sanzionato il Ministero dello Sviluppo Economico per 75.000 euro per ritardata nomina e per aver diffuso online i CV di oltre 5.000 manager. La giurisprudenza amministrativa su questo punto è ormai consolidata, sia per il pubblico sia per il privato.

La domanda a questo punto è inevitabile: ma allora chi può fare il DPO interno in una PMI? Le linee guida WP243 ammettono che ruoli operativi senza potere decisionale (addetti amministrativi, addetti contabilità, responsabili qualità di basso livello) possano in teoria svolgere il ruolo. Nella pratica però emerge un secondo problema, altrettanto grave del conflitto di interessi: quello della competenza.

L’articolo 37 paragrafo 5 del GDPR richiede che il DPO sia designato sulla base delle qualità professionali, della conoscenza specialistica della normativa e della capacità di assolvere ai compiti previsti dall’articolo 39. Le linee guida WP243 specificano che il livello di competenza deve essere proporzionato alla sensibilità, alla complessità e al volume dei dati trattati. Per una clinica privata significa conoscere il GDPR sanitario, le regole sul fascicolo elettronico, le comunicazioni con il Sistema TS; per un ecommerce significa conoscere la profilazione, il consenso ai cookie, le regole sui trasferimenti extra-UE; per un’azienda B2B con clienti europei significa conoscere la disciplina del trasferimento internazionale dei dati e le clausole contrattuali tipo.
>Un addetto contabilità interno difficilmente possiede questo bagaglio, e acquisirlo richiede percorsi formativi seri (la norma UNI 11697:2017 per la certificazione del DPO è un riferimento riconosciuto), aggiornamento continuo, lettura costante delle pronunce del Garante e dell’EDPB.

A competenza e conflitto di interessi si aggiunge il problema del tempo. L’articolo 39 attribuisce al DPO cinque compiti operativi: informare e fornire consulenza all’azienda, sorvegliare l’osservanza del GDPR, fornire pareri sulla DPIA, cooperare con l’Autorità di controllo, fungere da punto di contatto per gli interessati e per il Garante. Farlo in modo serio richiede tempo dedicato e prevedibile, non ritagli quando il lavoro principale lo permette. Una PMI che assegna la funzione al responsabile qualità “in aggiunta” sta dichiarando, di fatto, che è una funzione secondaria. Questa dichiarazione implicita pesa quando arriva un controllo.

Per una PMI sotto i cinquanta dipendenti, esternalizzare la funzione DPO è quasi sempre la scelta più razionale. Costa meno di un dipendente qualificato dedicato anche solo part time, perché un consulente esterno serve più clienti e ammortizza la formazione continua su un portafoglio. Non porta conflitti di interesse strutturali, perché non è dentro la catena di comando aziendale. Mette a disposizione competenze giuridiche, tecniche e organizzative che difficilmente coesistono in un’unica persona interna. E accompagna l’azienda nei salti dimensionali (più dipendenti, nuovi mercati, nuovi software) con procedure già viste su altri clienti, mentre un addetto interno parte da zero a ogni evoluzione.

Quando il DPO non è obbligatorio ma conviene comunque

I cinque segnali che hai appena letto non riguardano solo i casi di obbligo formale previsti dall’articolo 37 del GDPR. Riguardano la maturità della tua organizzazione nella gestione dei dati. Una PMI che gestisce un database clienti, fa email marketing e marketing automation, integra fornitori cloud (CRM, gestionale, fatturazione elettronica, customer care), ha un sito con form di contatto e un’area riservata, magari ha attivato la videosorveglianza e tiene archivi del personale, sta già trattando dati personali in modi e quantità che richiedono presidio, anche se nessuna delle tre soglie dell’articolo 37 viene formalmente superata.

Il GDPR non vieta la nomina volontaria del DPO e le linee guida WP243 la raccomandano espressamente quando il livello di rischio dei trattamenti lo giustifica. Molte aziende italiane stanno scegliendo questa strada per quattro ragioni che vanno oltre il puro adempimento.

Sul piano commerciale, le grandi aziende che lavorano in B2B chiedono ai propri fornitori di compilare questionari di compliance privacy prima di firmare un contratto. Le quotate, o le società con esposizione internazionale, vogliono sapere se hai un DPO designato, se hai procedure di gestione data breach, se conduci DPIA, se hai policy di trasferimento dei dati. Senza risposte solide, il tuo nome esce dalla shortlist prima ancora che la trattativa entri nel vivo.

Sul piano dell’accesso a gare e bandi, diverse stazioni appaltanti pubbliche e molti grandi committenti privati inseriscono nel capitolato la presenza di un DPO o di un sistema di gestione privacy strutturato come requisito di partecipazione o come elemento di scoring. Per chi vuole partecipare a gare di fornitura nei settori sanità, pubblica amministrazione, utility, finanziario, la presenza della figura è ormai un prerequisito di fatto.

Sul piano della due diligence, se la tua azienda è oggetto di acquisizione, fusione o ingresso di un fondo nel capitale, una delle prime aree che gli advisor verificano è la conformità privacy. Una governance strutturata aumenta il valore dell’azienda perché riduce i rischi legali percepiti dall’acquirente, mentre l’assenza di presidio fa scendere la valutazione o introduce clausole di garanzia che proteggono il compratore a tue spese.

Sul piano delle certificazioni, standard come ISO/IEC 27001, sulla sicurezza delle informazioni, e ISO/IEC 27701, sulla gestione della privacy delle informazioni, richiedono una governance che difficilmente può prescindere dalla figura del DPO.
Anche schemi di certificazione settoriali (per esempio in ambito sanitario o nei servizi finanziari) presuppongono la sua presenza. Per una PMI che vuole accreditarsi come fornitore qualificato in mercati selettivi, la certificazione apre porte che senza non si aprirebbero.

C’è poi una considerazione operativa che molte aziende non valutano in fase di scelta. La nomina volontaria comporta gli stessi obblighi formali della nomina obbligatoria. Una volta designato, il DPO va comunicato al Garante con la procedura ufficiale, i suoi dati di contatto vanno pubblicati sul sito aziendale, deve essere garantita l’indipendenza prevista dall’articolo 38, vanno fornite le risorse necessarie per svolgere la funzione. Non esiste un DPO “leggero” o “nominale”: chi lo nomina, anche volontariamente, si assume gli obblighi pieni del ruolo. Questo esclude soluzioni informali del tipo “abbiamo un consulente che si occupa di privacy ma non lo abbiamo formalizzato”, che non hanno valore davanti al Garante né davanti a un cliente che fa due diligence.

La differenza tra un’azienda con un DPO e una senza si vede in entrambe le direzioni del business. Nei momenti critici, quando arriva una richiesta di accesso complessa, un fornitore subisce un breach, il Garante apre un’istruttoria, un cliente importante chiede il questionario di compliance, l’azienda preparata risponde con documentazione che già esiste mentre quella impreparata improvvisa sotto pressione. Nei momenti positivi, quando un’opportunità commerciale dipende dalla maturità in materia di privacy, quando un investitore valuta l’ingresso, quando una certificazione abilita nuovi mercati, la prima chiude più velocemente mentre la seconda rischia di perdere tempo o l’occasione.

Hai bisogno di un DPO? Parliamone insieme

Sei arrivato in fondo a questo articolo, quindi qualcosa di quello che hai letto ti ha toccato da vicino. La domanda che ti stai facendo adesso è probabilmente questa: la mia azienda ha davvero bisogno di un DPO, oppure posso ancora aspettare?

La risposta non è la stessa per tutti, e nessun articolo, per quanto dettagliato, può sostituire un’analisi sui tuoi trattamenti reali. Raccontaci com’è strutturata la tua organizzazione, quali dati gestite, quali sistemi usate.
Ti diciamo se rientri nei casi di obbligo previsti dall’articolo 37 del GDPR e quali sono i prossimi passi razionali da fare.

Prenota una consulenza gratuita.